(57)【要約】【課題】  従来のネットワーク機器をそのまま利用して、トラフィック量と、該トラフィック量を発生させた発生元を特定可能な技術を提供する。【解決手段】  一般的なネットワーク機器は、ネットワーク機器のアドレス、該ネットワーク機器から送信されたパケットを受信する受信インタフェース、該受信インタフェースで受信したパケットの経過時間を含む転送情報と、受信インタフェース、該受信インタフェースで発生したトラフィック量を含む管理情報を記憶している。受信インタフェース毎に、転送情報から取得されるトラフィックの発生日時と、管理情報を受信した日時とをキーとして、トラフィック量と、該トラフィックを発生させた発生元を特定する。【選択図】  図１
2006352273.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも１つのネットワーク機器と、通信ネットワークを介して接続されるトラフィック発生機器特定装置であって、
前記トラフィック発生機器特定装置と接続されるネットワーク機器は、
ネットワーク機器を示す情報と、該ネットワーク機器から送信されたパケットを受信する受信インタフェースと、該受信インタフェースでトラフィックが発生してからの経過時間とを含む転送情報記憶する転送情報記憶手段と、
受信インタフェースと、該受信インタフェースで発生した最新のトラフィック量とを含む管理情報を記憶する管理情報記憶手段と、を有し、
前記トラフィック発生機器特定装置は、
前記ネットワーク機器から転送情報及び管理情報を取得する取得手段と、
前記転送情報を取得した日時と、該転送情報に含まれる経過時間から、該転送情報に含まれる受信インタフェースでトラフィックが発生した日時であるトラフィック発生日時を取得するトラフィック発生日時取得手段と、
同じ前記受信インタフェースを含む管理情報及び転送情報であって、該管理情報を取得した日時と該転送情報から取得したトラフィック発生日時との時間差が第１の閾値以下である管理情報及び転送情報を取得するトラフィック発生元機器取得手段と、
前記取得された管理情報に含まれるトラフィック量と、前記取得された転送情報に含まれるネットワーク機器を示す情報とを出力する出力手段と、
を有することを特徴とするトラフィック発生機器特定装置。
【請求項２】
請求項１記載のトラフィック発生機器特定装置であって、
前記取得手段は、異なる複数の時間に、管理情報及び転送情報を取得し、
前記トラフィック発生元機器取得手段により取得された管理情報に含まれるトラフィック量と、前記取得された転送情報に含まれるネットワーク機器を示す情報と、該管理情報及び転送情報に含まれる受信インタフェースと、該情報を取得した日時とを含むトラフィック発生元機器情報の各々から、前記受信インタフェース毎に、トラフィックの増大量が第２の閾値以上となる日時と、該日時に増大したトラフィックの減少量が前記第２の閾値以上となる日時とを取得し、該受信インタフェースと、該取得した日時間の日時とを含むトラフィック発生元機器情報を取得する増大トラフィック発生元特定手段、をさらに有し、
前記出力手段は、前記取得された各トラフィック発生元機器情報に含まれる日時と、前記取得された各トラフィック発生元機器情報に含まれるネットワーク機器を示す情報と、前記第２の閾値との各々を出力すること
を特徴とするトラフィック発生機器特定装置。
【請求項３】
少なくとも１つのネットワーク機器と、通信ネットワークを介して接続されるトラフィック発生機器特定装置によるトラフィック発生機器特定方法であって、
前記トラフィック発生機器特定装置と接続されるネットワーク機器は、
ネットワーク機器を示す情報と、該ネットワーク機器から送信されたパケットを受信する受信インタフェースと、該受信インタフェースでトラフィックが発生してからの経過時間とを含む転送情報記憶する転送情報記憶手段と、
受信インタフェースと、該受信インタフェースで発生した最新のトラフィック量とを含む管理情報を記憶する管理情報記憶手段と、を有し、
前記トラフィック発生機器特定装置は、
前記ネットワーク機器から転送情報及び管理情報を取得する取得ステップと、
前記転送情報を取得した日時と、該転送情報に含まれる経過時間から、該転送情報に含まれる受信インタフェースでトラフィックが発生した日時であるトラフィック発生日時を取得するトラフィック発生日時取得ステップと、
同じ前記受信インタフェースを含む管理情報及び転送情報であって、該管理情報を取得した日時と該転送情報から取得したトラフィック発生日時との時間差が第１の閾値以下である管理情報及び転送情報を取得するトラフィック発生元機器取得ステップと、
前記取得された管理情報に含まれるトラフィック量と、前記取得された転送情報に含まれるネットワーク機器を示す情報とを出力する出力ステップと、
を有することを特徴とするトラフィック発生機器特定方法。
【請求項４】
少なくとも１つのネットワーク機器と、通信ネットワークを介して接続されるトラフィック発生機器特定装置に実行させるトラフィック発生機器特定プログラムであって、
前記トラフィック発生機器特定装置と接続されるネットワーク機器は、 
ネットワーク機器を示す情報と、該ネットワーク機器から送信されたパケットを受信する受信インタフェースと、該受信インタフェースでトラフィックが発生してからの経過時間とを含む転送情報記憶する転送情報記憶手段と、
受信インタフェースと、該受信インタフェースで発生した最新のトラフィック量とを含む管理情報を記憶する管理情報記憶手段と、を有し、
前記トラフィック発生機器特定装置に、
前記ネットワーク機器から転送情報及び管理情報を取得する取得ステップと、
前記転送情報を取得した日時と、該転送情報に含まれる経過時間から、該転送情報に含まれる受信インタフェースでトラフィックが発生した日時であるトラフィック発生日時を取得するトラフィック発生日時取得ステップと、
同じ前記受信インタフェースを含む管理情報及び転送情報であって、該管理情報を取得した日時と該転送情報から取得したトラフィック発生日時との時間差が第１の閾値以下である管理情報及び転送情報を取得するトラフィック発生元機器取得ステップと、
前記取得された管理情報に含まれるトラフィック量と、前記取得された転送情報に含まれるネットワーク機器を示す情報とを出力する出力ステップと、
を実行させることを特徴とするトラフィック発生機器特定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークにおけるトラフィック管理に関するものである。
【背景技術】
【０００２】
ＰＣ（Personal Computer）等の端末等から送信されたデータは、複数のパケットに分割され、該パケットの各々は、通信ネットワーク上のルータやスイッチ（以下ＳＷ）等により転送され、該データの宛先である端末に送信される。特定の端末から一度に大量のパケットが送信されると、トラフィック量が増大し、パケットの遅延等、通信ネットワークの性能に影響を与えることがある。従って、どの端末がトラフィック量を発生させたかを管理することが行なわれている。
【０００３】
端末が発生させるトラフィックを検出・解析する一般的な方法として、ＲＭＯＮ（Remote network MONitoring，IETF RFC1757）機能を実装したネットワーク機器によってトラフィック情報を収集する方法や、専用の機器もしくは端末がネットワーク上を転送されるパケットを受信し、パケットのヘッダ情報を解析することでトラフィック情報を収集する方法がある。ところが、これらの方法は複雑であるため、導入するのが困難である。また、これらの方法は、多数の装置の導入や、高度な処理を実行可能な装置を導入等する必要があるため、コストが高い。
【０００４】
このような問題を解決するために、特許文献１に記載の技術がある。特許文献１に記載の技術は、従来の一般的なネットワーク機器の記憶している転送テーブルを拡張することにより、トラフィック発生回数、及び、データの宛先となる端末を特定している。
【０００５】
ここで、従来の転送テーブルについて説明する。
【０００６】
図１４は、従来の転送テーブルを説明するためのシステム構成例である。図１４において、ＳＷａ１４０１とＳＷｂ１４０２とが接続されている。ＳＷａ１４０１には、ＰＣ（Personal Computer）等の端末ａ１４０３、端末ｂ１４０４が接続され、ＳＷｂ１４０２には、端末ｃ１４０５、端末ｄ１４０６、端末ｅ１４０７が接続される。
【０００７】
ＳＷａ１４０１の黒丸は、パケットを受信する受信インタフェースを示す。受信インタフェースとは、例えば、ポートである。例えば、ＳＷａ１４０１は、受信インタフェース「ａａ」、「ａｂ」、「ａｃ」を有し、各受信インタフェースには、端末ａ１４０３、端末ｂ１４０４、ＳＷｂ１４０２が各々接続されている。なお、ＳＷａ１４０１と同様に、ＳＷｂ１４０２も受信インタフェースを有しているが、ここでは説明を省略する。
【０００８】
各ネットワーク機器は、アドレスを有する。このアドレスは、例えばＭＡＣ（Media Access Control）アドレスである。図１４は、各ネットワーク機器のアドレスを、括弧で示す。例えば、端末ａ１４０３、端末ｂ１４０４各々のアドレスは、「Ｘａ」、「Ｘｂ」である。ＳＷｂ１４０２、端末ｃ１４０５、端末ｄ１４０６、端末ｅ１４０７のアドレスは「Ｙａ」、「Ｘｃ」、「Ｘｄ」、「Ｘｅ」である。なお、ＳＷｂ１４０２等と同様に、ＳＷａ１４０１もアドレスを有しているが、ここでは説明を省略する。
【０００９】
図１３は、ＳＷａ１４０１の記憶装置（図示略）に記憶されている従来の転送テーブルの一例である。図１３において、転送テーブル１３０１は、発生元アドレス１３０２、受信インタフェース１３０３、経過時間１３０４、状態１３０５、ＶＬＡＮ（Virtual Local Area Network）１３０６等を含む。これらの情報の各々は、互いに対応付けられて格納されている。発生元アドレス１３０２は、ＳＷａ１４０１が受信したパケットを送信したネットワーク機器のアドレスである。受信インタフェース１３０３は、対応する発生元アドレス１３０２のネットワーク機器から送信されたパケットを受信するインタフェースである。経過時間１３０４は、対応する発生元アドレス１３０２のネットワーク機器から送信されたパケットを受信してからの経過時間を示す。ここでは、経過時間の単位は秒であるものとする。経過時間１３０４で示される時間は、パケットを受信した直後に予め定められた経過時間の最大値をとり、パケットを受信してから経過する時間に応じて経過時間の値を減少させていく場合と、パケットを受信してから経過する時間に応じて経過時間の値を増加させていく場合とがあるが、図１３に示す転送テーブル１３０１は、パケットを受信してから経過する時間に応じて経過時間の値を減少させていく場合の例を示す。状態１３０５は、対応する発生元アドレス１３０２のネットワーク機器から送信されたパケットの転送状態を示す。図１３の例では、「Dynamic」は、対応する経過時間１３０４で示される時間が経過時間内であることを示す。「Invalid」は、対応する経過時間１３０４で示される時間が「０」であることを示す。「Static」は、対応する経過時間１３０４で示される時間が経過時間外であることを示す。ＶＬＡＮ１３０６は、対応する発生元アドレス１３０２のネットワーク機器が属しているＶＬＡＮを示す。図１３の例では、ＶＬＡＮとして「１」、「２」が設定されていることを示す。
【００１０】
なお、経過時間１３０４に示す経過時間の最大値は、例えば、対応する発生元アドレス１３０２のネットワーク機器の属するＶＬＡＮに応じて定められる。図１３の例では、「ＶＬＡＮ１」に属するネットワーク機器の経過時間最大値は「３００」であり、「ＶＬＡＮ２」に属するネットワーク機器の経過時間最大値は「２５０」であるものとする。
【００１１】
次に、パケットが送信される場合のＳＷａ１４０１の動作例を説明する。ここでは、端末ｅ１４０７から、端末ａ１４０３へパケットが送信される場合の例を説明する。
【００１２】
端末ｅ１４０７から送信されたパケットは、ＳＷｂ１４０２を介して、ＳＷａ１４０１の受信インタフェース「ａｃ」で受信する。ＳＷａ１４０１は、パケットのヘッダを解析して、該パケットの発生元アドレスと、送信先アドレスとを取得する。ＳＷａ１４０１は、転送テーブル１３０１の発生元アドレス１３０２を参照し、取得した発生元アドレスが登録されているか否か判定する。
【００１３】
上記判定の結果、登録されていない場合、ＳＷａ１４０１は、該取得した発生元アドレスと、パケットを受信した受信インタフェース「ａｃ」とを、転送テーブル１３０１の発生元アドレス１３０２、受信インタフェース１３０３の各々に追加登録する。
【００１４】
上記判定の結果、登録されている場合、又は、上述のように追加登録した後に、ＳＷａ１４０１は、取得した発生元アドレスと一致する発生元アドレス１３０２と対応付けられた経過時間１３０４、状態１３０５等を更新する。具体的には、ＳＷａ１４０１は、経過時間１３０４を、予め設定された経過時間の最大値に設定する。また、状態１３０５を「Dynamic」とする。このように、ＳＷａ１４０１は、転送テーブル１３０１を更新すると共に、受信したパケットを、送信先アドレスに示される端末ａ１４０３に転送する。
【００１５】
ＳＷａ１４０１は、上述のようにパケットを転送した後、該パケットを転送してからの経過時間に応じて、経過時間１３０４、状態１３０５等を更新する。具体的には、例えば、ＳＷａ１４０１は、経過時間に応じて、経過時間１３０４に示される時間を減少させ、経過時間１３０４が「０」となったときに、状態１３０５を「Invalid」にし、該状態となってから所定時間経過後に、状態１３０５を「Static」とする。
【００１６】
特許文献１に記載の技術は、上述した従来の転送テーブルのアドレス毎に、該アドレスが参照された回数を示すカウンタを追加するものである。転送テーブルに追加されたカウンタ値から、トラフィック発生回数、及び、データの宛先となる端末を特定する。
【００１７】
【特許文献１】特開２００４−２９７６０３号公報
【発明の開示】
【発明が解決しようとする課題】
【００１８】
特許文献１に記載の技術では、データの宛先のみを特定するものであり、該データの送信元を特定することはできない。また、転送テーブルにカウンタを追加する必要があり、従来のネットワーク機器での対応が困難である。
【００１９】
本発明はこのような事情に鑑みてなされたもので、従来のネットワーク機器をそのまま利用して、トラフィック量を取得し、このトラフィック量を発生させた発生元を特定することを可能とする技術を提供することを目的とする。
【課題を解決するための手段】
【００２０】
一般的なネットワーク機器の有する記憶手段には、転送テーブル、管理情報テーブルが記憶されている。転送テーブルには、上述したように、ネットワーク機器のアドレス、該ネットワーク機器から送信されたパケットを受信する受信インタフェース、該受信インタフェースで受信したパケットの経過時間を含む転送情報が格納されている。また、管理情報テーブルには、受信インタフェース、該受信インタフェースで発生した最新のトラフィック量を含む管理情報が格納されている。本願発明は、これらの一般的なネットワーク機器の有する情報を解析して、トラフィック量を取得し、このトラフィック量を発生させた発生元を特定する。
【００２１】
本発明のトラフィック発生機器特定装置は、ネットワーク機器から、上記の転送情報及び管理情報を取得すると、転送情報に含まれる経過時間と、該情報を取得した日時とから、該転送情報に含まれるネットワーク機器が、該転送情報に含まれる受信インタフェースにトラフィックを発生させた日時を取得する。トラフィック発生機器特定装置は、前記受信インタフェースを含む転送情報から取得したトラフィック発生日時と、該転送情報に含まれる受信インタフェースと同じ受信インタフェースを含む管理情報を取得した日時とを比較し、これらの日時が同じであると判定できる場合、該管理情報に含まれるトラフィック量は、該転送情報に含まれるネットワーク機器が発生させたものとする。
【００２２】
本発明は、例えば、少なくとも１つのネットワーク機器と、通信ネットワークを介して接続されるトラフィック発生機器特定装置であって、前記トラフィック発生機器特定装置と接続されるネットワーク機器は、ネットワーク機器を示す情報と、該ネットワーク機器から送信されたパケットを受信する受信インタフェースと、該受信インタフェースでトラフィックが発生してからの経過時間とを含む転送情報記憶する転送情報記憶手段と、受信インタフェースと、該受信インタフェースで発生した最新のトラフィック量とを含む管理情報を記憶する管理情報記憶手段と、を有し、前記トラフィック発生機器特定装置は、前記ネットワーク機器から転送情報及び管理情報を取得する取得手段と、前記転送情報を取得した日時と、該転送情報に含まれる経過時間から、該転送情報に含まれる受信インタフェースでトラフィックが発生した日時であるトラフィック発生日時を取得するトラフィック発生日時取得手段と、同じ前記受信インタフェースを含む管理情報及び転送情報であって、該管理情報を取得した日時と該転送情報から取得したトラフィック発生日時との時間差が第１の閾値以下である管理情報及び転送情報を取得するトラフィック発生元機器取得手段と、前記取得された管理情報に含まれるトラフィック量と、前記取得された転送情報に含まれるネットワーク機器を示す情報とを出力する出力手段と、を有することを特徴とする。
【発明の効果】
【００２３】
本発明の技術によれば、従来のネットワーク機器に変更を加えることなく、トラフィック量と、該トラフィック量を発生させた可能性のある発生元を特定できる。  
【発明を実施するための最良の形態】
【００２４】
以下、本発明の一実施形態を図面を参照して詳細に説明する。以下の説明では、上述した構成と同じものには同じ符号を付与し、説明を省略する。
【００２５】
なお、ここでは、ＳＷ、ルータ、情報処理装置等、データを送受信する機器をネットワーク機器として説明する。
＜第１の実施形態＞
まず、第１の実施形態を説明する。
【００２６】
図１は、本実施形態のシステム構成例を示す図である。トラフィック発生機器特定装置１は、通信ネットワーク２を介して、ＳＷａ１４０１、ＳＷｂ１４０２等と接続される。ＳＷａ１４０１には、端末ａ１４０３、端末ｂ１４０４等が接続され、ＳＷｂ１４０２には、端末ｃ１４０５、端末ｄ１４０６、端末ｅ１４０７等が接続される。
【００２７】
ＳＷａ１４０１、ＳＷｂ１４０２等のネットワーク機器の各々は記憶装置（図示略）を有し、各記憶装置に、管理情報テーブル、転送テーブル等を格納する。
【００２８】
転送テーブルの一例は、上述の転送テーブル１３０１と同じである。
【００２９】
管理情報テーブルとは、ネットワーク機器が自身の状態を管理するための情報を格納するテーブルであり、例えば、ＭＩＢ（Management Information Base）情報テーブルである。管理情報テーブルの一例を図１２に示す。図１２において、管理情報テーブル１２０１は、受信インタフェース１２０２と、トラフィック量１２０３等を対応付けている。受信インタフェース１２０２は、該管理情報テーブル１２０１を有するネットワーク機器の有する受信インタフェースである。トラフィック量１２０３は、対応する受信インタフェース１２０２でパケットを受信することにより発生したトラフィック量である。本実施形態では、トラフィック量１２０３は、所定時間毎等に、対応する受信インタフェース１２０２で発生したトラフィック量の累計が随時追加され、格納されるものとする。
【００３０】
本実施形態では、管理情報テーブル１２０１は、ネットワーク機器の有する受信インタフェース毎に作成されるものとし、１つのネットワーク機器が複数の受信インタフェースを有する場合、該受信インタフェースの数だけ管理情報テーブル１２０１を有するものとする。
【００３１】
上述した転送テーブル、及び、管理情報テーブルは、従来技術と同じものである。
【００３２】
図１において、トラフィック発生機器特定装置１は、ネットワーク機器の記憶装置内の転送テーブル及び管理情報テーブルから読み出した情報を取得し、該取得した情報と、該情報を取得した日時とを解析して、受信インタフェース毎のトラフィック量と、該トラフィックを発生させたネットワーク機器とを取得する。
【００３３】
具体的には、例えば、トラフィック発生機器特定装置１は、ネットワーク機器の記憶装置内の転送テーブルから、ネットワーク機器のアドレス、該ネットワーク機器から送信されたパケットを受信する受信インタフェース、該受信インタフェースで受信したパケットの経過時間等を取得し、該取得した情報と、該情報を取得した日時とを対応付けて記憶装置に格納する。また、トラフィック発生機器特定装置１は、ネットワーク機器の記憶装置内の管理情報テーブルから、受信インタフェース、該受信インタフェースで発生したトラフィック量の累計を取得すると、該取得した情報と、該情報を取得した日時とを対応付けて記憶装置に格納する。
【００３４】
次に、トラフィック発生機器特定装置１は、記憶装置から、ネットワーク機器から送信されたパケットを受信する受信インタフェース、該受信インタフェースで受信したパケットの経過時間、該情報を取得した日時等を読み出し、これらの情報から、各受信インタフェースでパケットを受信した日時、即ち、各受信インタフェースでトラフィックが発生した日時を取得する。また、トラフィック発生機器特定装置１は、記憶装置から、受信インタフェース毎のトラフィック量の累計と、該情報を取得した日時を読み出し、今回取得した受信インタフェース毎のトラフィック量の累計と、前回取得した同じ受信インタフェース毎のトラフィック量累計とから、該日時間で発生したトラフィック量を取得する。また、トラフィック発生機器特定装置１は、受信インタフェース毎のトラフィック量累計を取得した日時を、該各受信インタフェースでトラフィックが発生した日とする。トラフィック発生機器特定装置１は、受信インタフェースと、該受信インタフェースでトラフィックが発生した日時とをキーとして、トラフィック量と、該トラフィックを発生させたネットワーク機器とを取得する。
【００３５】
これにより、トラフィック発生機器特定装置１は、既存のネットワーク機器をそのまま利用して、トラフィック量と、該トラフィックを発生させた可能性のあるネットワーク機器とを取得することが可能となる。
【００３６】
以下、トラフィック発生機器特定装置１を詳細に説明する。
【００３７】
図２は、トラフィック発生機器特定装置１の構成例を示す図である。図２において、トラフィック発生機器特定装置１は、ＣＰＵ（Central Processing Unit）１１、メモリ１２、記憶装置１３、入力装置１４、出力装置１５、通信インタフェース１６、バス１７等を有する。ＣＰＵ１１、メモリ１２、記憶装置１３、入力装置１４、出力装置１５、通信インタフェース１６等は、バス１７により互いに接続される。
【００３８】
記憶装置１３は、例えば、ＨＤＤ（Hard Disk Drive）や、ＣＤ−Ｒ（Compact Disc- Recordable）、ＤＶＤ−ＲＡＭ（Digital Versatile Disk- Random Access Memory）等の書き込み及び読み出し可能な記憶メディア及び該記憶メディア駆動装置等である。
【００３９】
入力装置１４は、例えば、キーボード、マウス、スキャナ等である。出力装置１５は、例えば、ディスプレイ、プリンタ、スピーカ等である。
【００４０】
トラフィック発生機器特定装置１は、通信インタフェース１６を介して通信ネットワーク２と接続される。
【００４１】
ＣＰＵ１１は、メモリ１２にロードしたプログラムを実行することにより、転送時間情報取得部１１１、トラフィック量情報取得部１１２、トラフィック発生元機器取得部１１３、増大トラフィック発生特定部１１４、表示処理部１１５等を実現する。
【００４２】
転送時間情報取得部１１１は、ネットワーク機器のアドレス、該ネットワーク機器から送信されたパケットを受信する受信インタフェース、該受信インタフェースで受信したパケットの経過時間等と、該情報を取得した日時とを対応付けて記憶装置に格納する。トラフィック量情報取得部１１２は、受信インタフェース、該受信インタフェースで発生したトラフィック量の累計等と、該情報を取得した日時とを対応付けて記憶装置に格納する。トラフィック発生元機器取得部１１３は、各受信インタフェースにトラフィックを発生させる可能性のある全てのネットワーク機器と、該各ネットワーク機器が各受信インタフェースにトラフィックを発生させた日時等を取得する。増大トラフィック発生特定部１１４は、受信インタフェース毎のトラフィック量の増加率が所定の閾値以上となった日時と、受信インタフェース毎のトラフィック量の減少率が所定の閾値以上となった日時とを取得し、該取得した日時の間にトラフィックを発生させた可能性のあるネットワーク機器を、トラフィック発生元機器取得部１１３の取得したネットワーク機器から選択する。表示処理部１１５は、増大トラフィック発生特定部１１４の取得したネットワーク機器と、該ネットワーク機器の発生させたトラフィック量と、該トラフィックの発生した日時等を出力する。
【００４３】
記憶装置１３は、ネットワーク情報テーブル１３１、転送時間情報テーブル１３２、トラフィック量情報テーブル１３３、トラフィック発生元機器テーブル１３４、増大トラフィック発生特定テーブル１３５等を格納する。
【００４４】
ネットワーク情報テーブル１３１は、ネットワーク機器のアドレスと、該ネットワーク機器を示す名称等を対応付けて格納する。転送時間情報テーブル１３２は、ネットワーク機器が転送テーブルから読み出して送信した情報と、該情報を受信した日時等を対応付けて格納する。トラフィック量情報テーブル１３３は、ネットワーク機器が管理情報テーブルから読み出して送信した情報と、該情報を受信した日時等を対応付けて格納する。トラフィック発生元機器テーブル１３４は、受信インタフェースと、該受信インタフェースにパケットを送信している全てのネットワーク機器と、該各ネットワーク機器がパケットを送信した日時等を対応付けて格納する。増大トラフィック発生特定テーブル１３５は、受信インタフェース毎のトラフィック量の増加率が所定の閾値以上となった日時と、受信インタフェース毎のトラフィック量の減少率が所定の閾値以上となった日時と、該日時の間にトラフィックを発生させた可能性のあるネットワーク機器等を対応付けて格納する。
【００４５】
転送時間情報テーブル１３２、トラフィック量情報テーブル１３３、トラフィック発生元機器テーブル１３４、増大トラフィック発生特定テーブル１３５は、後述する動作により、転送時間情報取得部１１１、トラフィック量情報取得部１１２、トラフィック発生元機器取得部１１３、増大トラフィック発生特定部１１４により作成され、記憶装置１３に格納される。ネットワーク情報テーブル１３１は、予め作成され、記憶装置１３に格納されているものとするが、入力装置１４又は通信インタフェース１６を介して入力された情報に従い、修正、追加、削除等されてもよい。
【００４６】
次に、記憶装置１３内の各テーブルの一例を図面を参照して説明する。
【００４７】
ネットワーク情報テーブル１３１の一例を図３に示す。図３において、ネットワーク情報テーブル１３１は、アドレス３０１と、ネットワーク機器名３０２等を対応付けて格納する。アドレス３０１は、ネットワーク機器のアドレスである。ネットワーク機器名３０２は、各ネットワーク機器の名称を示す情報であり、例えば、ホスト名である。
【００４８】
転送時間情報テーブル１３２の一例を図４に示す。図４において、転送時間情報テーブル１３２は、日時４０１、ネットワーク機器４０２、転送時間リスト４０３等を含む。日時４０１、ネットワーク機器４０２、転送時間リスト４０３等は互いに対応付けられている。転送時間リスト４０３は、発生元アドレス４０４、受信インタフェース４０５、経過時間４０６、経過時間最大値４０７、状態４０８等を含む。発生元アドレス４０４、受信インタフェース４０５、経過時間４０６、経過時間最大値４０７、状態４０８等は互いに対応付けられている。
【００４９】
日時４０１は、該テーブルに格納される情報を受信した日時である。ネットワーク機器４０２は、該テーブルに格納される情報を送信したネットワーク機器を示す情報である。発生元アドレス４０４は、対応するネットワーク機器４０２に接続されるネットワーク機器のアドレスを示す情報である。受信インタフェース４０５は、対応する発生元アドレス４０４のネットワーク機器から送信されたパケットを受信するインタフェースである。経過時間４０６は、対応する発生元アドレス４０４のネットワーク機器から送信されたパケットの経過時間であり、上述の経過時間１３０４と同じである。経過時間最大値４０７は、対応する発生元アドレス４０４のネットワーク機器から送信されるパケットの経過時間の最大値を示す。この最大値は、例えば、対応する発生元アドレス４０４のネットワーク機器の属するＶＬＡＮにより異なる。状態４０８は、対応する発生元アドレス４０４のネットワーク機器から送信されたパケットの状態を示し、上述の状態１３０５と同じである。
【００５０】
本実施形態では、転送時間情報テーブル１３２は、ネットワーク機器毎に、該テーブルに格納する情報を受信するたびに新たに作成され、記憶装置１３に格納されるものとする。従って、トラフィック発生機器特定装置１は、次回、同じネットワーク機器からの情報を受信した場合、新たに転送時間情報テーブル１３２を作成し、該情報を受信した日時と対応付けて記憶装置１３に格納する。
【００５１】
トラフィック量情報テーブル１３３の一例を図５に示す。図５において、トラフィック量情報テーブル１３３は、ネットワーク機器５０１、受信インタフェース５０２、閾値５０３、トラフィック量リスト５０４等を含む。ネットワーク機器５０１、受信インタフェース５０２、閾値５０３、トラフィック量リスト５０４等は互いに対応付けられている。トラフィック量リスト５０４は、日時５０５、トラフィック量累計５０６、トラフィック量５０７、変化５０８等を含む。日時５０５、トラフィック量累計５０６、トラフィック量５０７、変化５０８等は互いに対応付けられている。
【００５２】
ネットワーク機器５０１は、該テーブルに格納される情報を送信したネットワーク機器を示す情報である。受信インタフェース５０２は、対応するネットワーク機器５０１の有する受信インタフェースである。閾値５０３は、トラフィック量の増大及び減少を判定するための値であり、予め設定されていてもよく、また、入力装置１４及び通信インタフェース１６等から入力された情報に従い、設定、変更等されてもよい。
【００５３】
日時５０５は、対応するネットワーク機器５０１から送信されたトラフィック量の累計値を受信した日時である。トラフィック量累計５０６は、対応するネットワーク機器５０１の有する受信インタフェース５０２で発生したトラフィック量の累計値を示す情報である。トラフィック量５０７は、前回のトラフィック量累計５０６と今回のトラフィック量累計５０６との差分から算出したトラフィック量を示す情報である。変化５０８は、前回のトラフィック量５０７と今回のトラフィック量５０７との差分が、対応する閾値５０３以上であるか否かを示す情報である。ここでは、変化５０８「Ｔ」は、トラフィック量の差分が閾値以上であることを示し、変化「Ｆ」は、トラフィック量の差分が閾値未満であることを示す。
【００５４】
本実施形態では、トラフィック量情報テーブル１３３は、ネットワーク機器の受信インタフェース毎に新たに作成され、記憶装置１３に格納されるものとする。従って、トラフィック発生機器特定装置１は、１つのネットワーク機器が複数の受信インタフェースを有している場合、該受信インタフェースの数だけ、トラフィック量情報テーブル１３３を作成し、記憶装置１３に格納する。
【００５５】
トラフィック発生元機器テーブル１３４の一例を図６に示す。図６（ａ）及び（ｂ）に一例を示すトラフィック発生元機器テーブル１３４は、同一の受信インタフェースに対し、テーブルを作成した日時が異なるものである。以下、各テーブルを特に区別して説明する場合、トラフィック発生元機器テーブル１３４ａ、トラフィック発生元機器テーブル１３４ｂというように、符号を付与して説明する。
【００５６】
図６において、トラフィック発生元機器テーブル１３４は、日時６０１、ネットワーク機器６０２、受信インタフェース６０３、トラフィック発生元機器リスト６０４等を含む。日時６０１、ネットワーク機器６０２、受信インタフェース６０３、トラフィック発生元機器リスト６０４等は、互いに対応付けられている。トラフィック発生元機器リスト６０４は、発生元アドレス６０５、トラフィック発生日時６０６、トラフィック発生６０７等を含む。発生元アドレス６０５、トラフィック発生日時６０６、トラフィック発生６０７等は互いに対応付けられている。
【００５７】
日時６０１は、該テーブルに格納される情報を受信した日時である。ネットワーク機器６０２は、該テーブルに格納される情報を送信したネットワーク機器を示す。受信インタフェース６０３は、ネットワーク機器６０２の有する受信インタフェースである。発生元アドレス６０５は、対応する受信インタフェース６０３にトラフィックを発生させることのできるネットワーク機器を示す情報である。トラフィック発生日時６０６は、対応する発生元アドレス６０５に示されるネットワーク機器が、対応する受信インタフェース６０３で実際にトラフィックを発生させた日時を示す。ここでは、トラフィック発生日時６０６「−」は、トラフィックを発生させた日時が不明であることを示す。トラフィック発生６０７は、対応するトラフィック発生日時６０６に示される日時に発生したトラフィックが、既に他のトラフィック発生元機器テーブル１３４に格納されているか否かを示す。ここでは、トラフィック発生６０７「Ｔ」は、まだトラフィック発生元機器テーブル１３４に格納されていないことを示し、トラフィック発生６０７「Ｆ」は、既に他のトラフィック発生元機器テーブル１３４に格納されていることを示す。
【００５８】
本実施形態では、トラフィック発生元機器テーブル１３４は、ネットワーク機器の受信インタフェース毎に、該ネットワーク機器から送信された情報を受信する度に新たに作成され、該テーブルに格納する情報を受信した日時及び受信インタフェースと対応付けて、記憶装置１３に格納されるものとする。従って、経過時間最大値より短い時間間隔でネットワーク機器から送信された情報を受信する場合、１つのトラフィックを発生させたネットワーク機器が、前に受信した情報に基づいて作成したトラフィック発生元機器テーブル１３４に含まれる発生元アドレス６０５と、後に受信した情報に基づいて作成したトラフィック発生元機器テーブル１３４に含まれる発生元アドレス６０５とに格納される場合がある。このようなネットワーク機器を除外するために、トラフィック発生６０７の項目が設定されている。即ち、トラフィック発生６０７は、１つのトラフィックを発生させたネットワーク機器が既に他のトラフィック発生元機器テーブル１３４に格納されているか否か判定した結果を示す。
【００５９】
増大トラフィック発生特定テーブル１３５の一例を図７に示す。増大トラフィック発生特定テーブル１３５は、ネットワーク機器７０１、受信インタフェース７０２、閾値７０３、トラフィック発生日時７０４、トラフィック終了日時７０５、トラフィック発生実日時７０６、トラフィック終了日時７０７、増大トラフィック発生リスト７０８等を含む。ネットワーク機器７０１、受信インタフェース７０２、閾値７０３、トラフィック発生日時７０４、トラフィック終了日時７０５、トラフィック発生実日時７０６、トラフィック終了日時７０７、増大トラフィック発生リスト７０８等は、互いに対応付けられている。増大トラフィック発生リスト７０８は、発生元アドレス７０９、発生前７１０、発生７１１、発生中７１２、発生終了７１３、終了後７１４等を含む。発生元アドレス７０９、発生前７１０、発生７１１、発生中７１２、発生終了７１３、終了後７１４等は互いに対応付けられている。
【００６０】
ネットワーク機器７０１は、増大トラフィック発生特定テーブル１３５に格納する情報を送信したネットワーク機器を示す情報である。受信インタフェース７０２は、対応するネットワーク機器７０１が有する受信インタフェースである。閾値７０３は、トラフィック量の増大及び減少を判定するための値であり、予め設定されていてもよく、また、入力装置１４及び通信インタフェース１６等から入力された情報に従い、設定、変更等されてもよい。トラフィック発生日時７０４は、対応する受信インタフェース７０２のトラフィック量の増加率が閾値７０３以上となる日時である。トラフィック終了日時７０５は、対応する受信インタフェース７０２のトラフィック量の減少率が閾値７０３以上となる日時である。トラフィック発生実日時７０６は、対応する受信インタフェース７０２のトラフィック量の増加率が閾値７０３以上となる実際の日時である。トラフィック終了日時７０７、対応する受信インタフェース７０２のトラフィック量の減少率が閾値７０３以上となる実際の日時である。
【００６１】
発生元アドレス７０９は、対応するトラフィック発生日時７０４及びトラフィック終了日時７０５を含む日時の間に、対応する受信インタフェース７０２にトラフィックを発生させたネットワーク機器を示す情報である。発生７１１、発生中７１２、発生終了７１３は、対応するトラフィック発生日時７０４及びトラフィック終了日時７０５の間に、対応する受信インタフェース７０２に対し、対応する発生元アドレス７０９に示されるネットワーク機器が実際にトラフィックを発生させたか否かを示す情報である。発生前７０６、終了後７１４は、各々、対応するトラフィック発生日時７０４及びトラフィック終了日時７０５の前後に、対応する受信インタフェース７０２に対し、対応する発生元アドレス７０９に示されるネットワーク機器が実際にトラフィックを発生させたか否かを示す情報である。ここでは、発生前７１０、発生７１１、発生中７１２、発生終了７１３、終了後７１４の各々が「Ｔ」である場合、対応する発生元アドレス７０９が実際にトラフィックを発生させていることを示し、「Ｆ」である場合、対応する発生元アドレス７０９が実際にトラフィックを発生させていないことを示す。
【００６２】
本実施形態では、増大トラフィック発生特定テーブル１３５は、ネットワーク機器の受信インタフェース毎に、該受信インタフェースでのトラフィック量の減少率が所定の値以上となる度に新たに作成され、記憶装置１３に格納されるものとする。
【００６３】
次に、トラフィック発生機器特定装置１の動作例を、図８〜図１０を参照して説明する。以下では、ＳＷａ１４０１のトラフィック量を取得する場合を例にして説明するが、ＳＷｂ１４０２等の他のネットワーク機器の場合も同じである。トラフィック量を取得するネットワーク機器は、例えば、トラフィック発生機器特定装置１が任意又は所定の規則に従い定めても良く、また、入力装置１４又は通信インタフェース１６等から入力された情報に従い定めてもよい。
【００６４】
図８に一例を示すフロー図は、例えば６０秒毎等所定の時間毎に起動され、実行される。転送時間情報取得部１１１は、ＳＷａ１４０１から、転送情報を取得する（Ｓ８０１）。
【００６５】
具体的には、例えば、転送時間情報取得部１１１は、ＳＷａ１４０１に、転送情報要求を送信する。
【００６６】
ＳＷａ１４０１は、転送情報要求を受信すると、記憶装置内に格納されている転送テーブル１３０１から、発生元アドレス１３０２を１つ選択し、該選択した発生元アドレス１３０２に対応するＶＬＡＮ１３０６を読み出す。次に、ＳＷａ１４０１は、記憶装置から、読み出したＶＬＡＮ１３０６で設定されている経過時間最大値を読み出す。また、ＳＷａ１４０１は、選択した発生元アドレス１３０２に対応する受信インタフェース１３０３、経過時間１３０４、状態１３０５等を読み出す。このように、ＳＷａ１４０１は、選択した発生元アドレス１３０２と、読み出した受信インタフェース１３０３、経過時間１３０４、状態１３０５、有効最大時間等を対応付けた転送情報を生成する。ＳＷａ１４０１は、このような転送情報を、転送テーブル１３０１内に格納されている全ての発生元アドレス１３０２に対し生成し、該生成した転送情報をトラフィック発生機器特定装置１に送信する。
【００６７】
転送時間情報取得部１１１は、転送情報を受信すると、該情報を受信した日時を内部時計（図示略）等から取得し、該取得した日時と、受信した転送情報の各々とを対応付けて、メモリ１２の所定の領域に格納しておく。
【００６８】
トラフィック量情報取得部１１２は、ＳＷａ１４０１から、トラフィック量情報を取得する（Ｓ８０２）。
【００６９】
具体的には、例えば、トラフィック量情報取得部１１２は、ＳＷａ１４０１に、トラフィック量情報要求を送信する。
【００７０】
ＳＷａ１４０１は、トラフィック量情報要求を受信すると、記憶装置内に格納されている受信インタフェース毎の管理情報テーブル１２０１を１つ選択する。次に、ＳＷａ１４０１は、選択した管理情報テーブル１２０１から、受信インタフェース１２０２、最新のトラフィック量１２０３等を読み出し、該読み出した受信インタフェース１２０２、トラフィック量１２０３等を互いに対応付けたトラフィック量情報を作成する。ＳＷａ１４０１は、このような情報を、記憶装置内に格納されている全ての管理情報テーブル１２０１に対し生成し、該生成したトラフィック量情報を、トラフィック発生機器特定装置１に送信する。
【００７１】
トラフィック量情報取得部１１２は、トラフィック量情報を受信すると、該情報を受信した日時を内部時計等から取得し、該取得した日時と、受信したトラフィック量情報の各々とを対応付けて、メモリ１２の所定の領域に格納しておく。
【００７２】
次に、転送時間情報取得部１１１は、取得した転送情報から、転送時間情報テーブル１３２を作成する（Ｓ８０３）。
【００７３】
具体的には、例えば、転送時間情報取得部１１１は、転送時間情報テーブル１３２内の情報を格納する領域をメモリ１２等に確保する。転送時間情報取得部１１１は、メモリ１２の所定領域から、ＳＷａ１４０１から送信された複数の転送情報のうち１つを選択し、該選択した情報と、該情報と対応付けられた日時とを読み出し、該読み出した日時を、転送時間情報テーブル１３２の日時４０１として、メモリ１２の所定の領域に格納する。転送時間情報取得部１１１は、トラフィック量を取得するネットワーク機器を示す情報を、転送時間情報テーブル１３２のネットワーク機器４０２として、メモリ１２の所定の領域に格納する。転送時間情報取得部１１１は、読み出した転送情報に含まれる発生元アドレス１３０２を、転送時間情報テーブル１３２の発生元アドレス４０４として、メモリ１２の所定の領域に格納する。転送時間情報取得部１１１は、読み出した転送情報に含まれる受信インタフェース１３０３を、転送時間情報テーブル１３２の受信インタフェース４０５として、メモリ１２の所定の領域に格納する。転送時間情報取得部１１１は、読み出した転送情報に含まれる経過時間１３０４を、転送時間情報テーブル１３２の経過時間４０６として、メモリ１２の所定の領域に格納する。転送時間情報取得部１１１は、読み出した転送情報に含まれる経過時間最大値を、転送時間情報テーブル１３２の経過時間最大値４０７として、メモリ１２の所定の領域に格納する。転送時間情報取得部１１１は、読み出した転送情報に含まれる状態１３０５を、転送時間情報テーブル１３２の状態４０８として、メモリ１２の所定の領域に格納する。
【００７４】
このように、選択した転送情報に含まれる情報と、該情報を受信した日時とを、日時４０１、ネットワーク機器４０２、発生元アドレス４０４、受信インタフェース４０５、経過時間４０６、経過時間最大値４０７、状態４０８等として転送時間情報テーブル１３２に格納すると、転送時間情報取得部１１１は、メモリ１２の所定領域から、ＳＷａ１４０１から送信された複数の転送情報のうち他の１つを選択し、上述と同様の処理を行なう、これにより、ネットワーク機器４０２でトラフィックを発生させることのできる全ての発生元アドレス、該各発生元アドレスからのパケットを受信する受信インタフェース、該各受信インタフェースでトラフィックが発生してからの経過時間、経過時間最大値、状態等を取得し、該情報を転送時間情報テーブル１３２に格納する。転送時間情報取得部１１１は、作成した転送時間情報テーブル１３２を、記憶装置１３に格納する。
【００７５】
次に、トラフィック量情報取得部１１２は、取得したトラフィック量情報から、トラフィック量情報テーブル１３３を作成する（Ｓ８０４）。
【００７６】
具体的には、例えば、トラフィック量情報取得部１１２は、まず、ＳＷａ１４０１のトラフィック量情報を初めて取得したか否か判定する。この判定は、例えば、記憶装置１３内の所定の領域に、ネットワーク機器５０１「ＳＷａ」を含むトラフィック量情報テーブル１３３が格納されているか否かにより判定する。
【００７７】
判定の結果、ＳＷａ１４０１のトラフィック量情報を初めて取得した場合、トラフィック量情報取得部１１２は、トラフィック量情報テーブル１３３内の情報を格納する領域をメモリ１２等に確保する。次に、トラフィック量情報取得部１１２は、トラフィック量を取得するネットワーク機器を示す情報を、トラフィック量情報テーブル１３３のネットワーク機器５０１として、メモリ１２の所定の領域に格納する。トラフィック量情報取得部１１２は、メモリ１２の所定の領域から読み出した受信インタフェース１２０２を、トラフィック量情報テーブル１３３の受信インタフェース５０２として、メモリ１２の所定の領域に格納する。トラフィック量情報取得部１１２は、トラフィック量が増大したことを判定するための値を記憶装置１３等から読み出し、この情報を、トラフィック量情報テーブル１３３の閾値５０３として、メモリ１２の所定の領域に格納する。このようなテーブルを、受信したトラフィック量情報の各々に含まれる受信インタフェース１２０２毎に作成する。
【００７８】
判定の結果、ＳＷａ１４０１のトラフィック量情報を取得したのが初めてでない場合、トラフィック量情報取得部１１２は、記憶装置１３から、ネットワーク機器５０１「ＳＷａ」を含むトラフィック量情報テーブル１３３を全て読み出し、メモリ１２の所定の領域に格納する。
【００７９】
次に、トラフィック量情報取得部１１２は、メモリ１２の所定領域から、ＳＷａ１４０１から送信された複数のトラフィック量情報のうち１つを選択し、該選択した情報と、該情報と対応付けられた日時とを読み出す。トラフィック量情報取得部１１２は、読み出した日時を、該読み出したトラフィック量情報に含まれる受信インタフェース１２０２と一致する受信インタフェース５０２を含むトラフィック量情報テーブル１３３の日時５０５として、メモリ１２の所定の領域に追加格納する。トラフィック量情報取得部１１２は、読み出したトラフィック量情報に含まれるトラフィック量１２０３を、該読み出したトラフィック量情報に含まれる受信インタフェース１２０２と一致する受信インタフェース５０２を含むトラフィック量情報テーブル１３３のトラフィック量累計５０６として、メモリ１２の所定の領域に格納する。ここで、今回格納された日時５０５、トラフィック量累計５０６は、前回取得したトラフィック量情報とは別に格納される。
【００８０】
次に、トラフィック量情報取得部１１２は、前回取得したトラフィック量累計５０６と、今回取得したトラフィック量累計５０６との差分を算出し、この差分を、トラフィック量情報テーブル１３３のトラフィック量５０７として、メモリ１２の所定の領域に格納する。この動作例を、図５に一例を示すトラフィック量情報テーブル１３３の場合を例にして説明する。今回、ＳＷａ１４０１からの情報を受信した日時が「２００５年１月１日  ０１：０３：００」である場合、トラフィック量情報取得部１１２は、前回取得したトラフィック量累計、即ち、日時５０５「２００５年１月１日  ０１：０２：００」に対応するトラフィック量累計５０６「６４００」をメモリ１２から読み出す。さらに、トラフィック量情報取得部１１２は、今回取得したトラフィック量累計、即ち、日時５０５「２００５年１月１日  ０１：０３：００」に対応するトラフィック量累計５０６「６５００」をメモリ１２から読み出す。トラフィック量情報取得部１１２は、前回取得したトラフィック量累計「６４００」と、今回取得したトラフィック量累計「６５００」との差分から、トラフィック量「１００」を取得し、このトラフィック量を、日時５０５「２００５年１月１日  ０１：０３：００」に対応するトラフィック量５０７として、メモリ１２の所定の領域に格納する。
【００８１】
次に、トラフィック量情報取得部１１２は、上述の処理により取得したトラフィック量５０７の値の変化率が、閾値５０３に示される値以上であるか否か判定した結果を、トラフィック量情報テーブル１３３の変化５０８として、メモリ１２の所定の領域に格納する。この動作例を、図５に一例を示すトラフィック量情報テーブル１３３の場合を例にして説明する。今回、ＳＷａ１４０１からの情報を受信した日時が「２００５年１月１日  ０１：０３：００」である場合、トラフィック量情報取得部１１２は、前回取得したトラフィック量、即ち、日時５０５「２００５年１月１日  ０１：０２：００」に対応するトラフィック量５０７「１５００」をメモリ１２から読み出す。さらに、トラフィック量情報取得部１１２は、今回取得したトラフィック量、即ち、日時５０５「２００５年１月１日  ０１：０３：００」に対応するトラフィック量５０７「１００」をメモリ１２から読み出す。トラフィック量情報取得部１１２は、前回取得したトラフィック量「１５００」と、今回取得したトラフィック量「１００」との差分から、トラフィック量の変化「１４００」を取得する。トラフィック量情報取得部１１２は、このトラフィック量の変化「１４００」は、閾値５０３「１０００」より大きいと判定し、該結果を示す情報を、トラフィック量情報テーブル１３３の変化５０８として、メモリ１２の所定の領域に格納する。ここでは、トラフィック量情報取得部１１２は、トラフィック量５０７の変化が閾値５０３に示される値以上であることを示す場合、変化５０８を「Ｔ」とし、トラフィック量５０７の変化が閾値５０３に示される値未満であることを示す場合、変化５０８を「Ｆ」とする。
【００８２】
このように、選択したトラフィック量情報に含まれる情報と、該情報を受信した日時とを、日時５０５、トラフィック量累計５０６とし、該情報から取得した情報をトラフィック量５０７、変化５０８等としてトラフィック量情報テーブル１３３に格納すると、トラフィック量情報取得部１１２は、メモリ１２の所定領域から、ＳＷａ１４０１から送信された複数のトラフィック量情報のうち他の１つを選択し、上述と同様の処理を行なう。これにより、ネットワーク機器５０１の有する全ての各受信インタフェースでトラフィックが発生した日時、トラフィック量累計、トラフィック量、変化等を各トラフィック量情報テーブル１３３に格納する。トラフィック量情報取得部１１２は、作成したトラフィック量情報テーブル１３３を、記憶装置１３に格納する。
【００８３】
トラフィック発生元機器取得部１１３は、記憶装置１３内の各トラフィック量情報テーブル１３３のうち、昇順等により１つを選択する（Ｓ８０５）。
【００８４】
次に、トラフィック発生元機器取得部１１３は、Ｓ８０５で選択したトラフィック量情報テーブル１３３の受信インタフェース５０２で示される受信インタフェースに、トラフィックを発生させたネットワーク機器を取得する（Ｓ８０６）。
【００８５】
Ｓ８０６の処理を、図９を参照して詳細に説明する。
【００８６】
トラフィック発生元機器取得部１１３は、記憶装置１３から、日時４０１が最新の転送時間情報テーブル１３２を読み出す（Ｓ９０１）。次に、トラフィック発生元機器取得部１１３は、読み出した転送時間情報テーブル１３２から、上述のＳ８０５で選択されたトラフィック量情報テーブル１３３の受信インタフェース５０２に、パケットを送信することのできる全てのネットワーク機器を取得する（Ｓ９０２）。具体的には、例えば、処理部１３３は、転送時間情報テーブル１３２から、Ｓ８０５で選択されたトラフィック量情報テーブル１３３の受信インタフェース５０２と一致する受信インタフェース４０５と対応付けられている発生元アドレス４０４を取得する。
【００８７】
この動作例を、Ｓ８０５で選択されたトラフィック量情報テーブル１３３の受信インタフェース５０２が「ａｃ」である場合を例として説明する。図４に一例を示す転送時間情報テーブル１３２の場合、受信インタフェース４０５「ａｃ」と対応付けられた発生元アドレス４０４は「Ｘｃ」、「Ｘｄ」、「Ｘｅ」である。
【００８８】
トラフィック発生元機器取得部１１３は、トラフィック発生元機器テーブル１３４内の情報を新たに格納する領域をメモリ１２等に確保し、該領域に、Ｓ９０２で取得したネットワーク機器を示す情報を格納する（Ｓ９０３）。具体的には、例えば、トラフィック発生元機器取得部１１３は、Ｓ９０１で読み出した転送時間情報テーブル１３２の日時４０１を、トラフィック発生元機器テーブル１３４の日時６０１として、メモリ１２の所定の領域に格納する。トラフィック発生元機器取得部１１３は、Ｓ９０１で読み出した転送時間情報テーブル１３２のネットワーク機器４０２を、トラフィック発生元機器テーブル１３４のネットワーク機器６０２として、メモリ１２の所定の領域に格納する。トラフィック発生元機器取得部１１３は、Ｓ８０５で選択されたトラフィック量情報テーブル１３３の受信インタフェース５０２を、トラフィック発生元機器テーブル１３４の受信インタフェース６０３として、メモリ１２の所定の領域に格納する。トラフィック発生元機器取得部１１３は、Ｓ９０２で取得した各ネットワーク機器を、トラフィック発生元機器テーブル１３４の発生元アドレス６０５として、メモリ１２の所定の領域に格納する。
【００８９】
この動作例を、Ｓ８０５で選択されたトラフィック量情報テーブル１３３の受信インタフェース５０２が「ａｃ」であり、Ｓ９０１で読み出された転送時間情報テーブル１３２の日時４０１が「２００５年１月１日  ０１：０２：００」である場合を例として説明する。トラフィック発生元機器取得部１１３は、Ｓ９０１で読み出した転送時間情報テーブル１３２の日時４０１「２００５年１月１日  ０１：０２：００」を、トラフィック発生元機器テーブル１３４の日時６０１に格納する。トラフィック発生元機器取得部１１３は、Ｓ９０１で読み出した転送時間情報テーブル１３２のネットワーク機器４０２「ＳＷａ」を、トラフィック発生元機器テーブル１３４のネットワーク機器６０２に格納する。トラフィック発生元機器取得部１１３は、Ｓ８０５で選択されたトラフィック量情報テーブル１３３の受信インタフェース５０２「ａｃ」を、トラフィック発生元機器テーブル１３４の受信インタフェース６０３に格納する。トラフィック発生元機器取得部１１３は、Ｓ９０２で取得したネットワーク機器「Ｘｃ」、「Ｘｄ」、「Ｘｅ」を、トラフィック発生元機器テーブル１３４の発生元アドレス６０５に格納する。
【００９０】
トラフィック発生元機器取得部１１３は、作成したトラフィック発生元機器テーブル１３４内の各発生元アドレス６０５のうち、昇順等により１つを選択する（Ｓ９０４）。次に、トラフィック発生元機器取得部１１３は、Ｓ９０４で選択した発生元アドレス６０５に示されるネットワーク機器が、作成したトラフィック発生元機器テーブル１３４の受信インタフェース６０３に、実際にパケットを送信した日時を取得する（Ｓ９０５）。具体的には、例えば、トラフィック発生元機器取得部１１３は、作成したトラフィック発生元機器テーブル１３４の日時６０１と一致する日時４０１を含む転送時間情報テーブル１３２から、日時４０１、Ｓ９０４で選択した発生元アドレス６０５と一致する発生元アドレス４０４と対応付けられた経過時間４０６、及び、経過時間最大値４０７を読み出す。次に、トラフィック発生元機器取得部１１３は、読み出した経過時間最大値４０７の値と、経過時間４０６の値との差分を算出し、さらに、日時４０１から、該算出した差分の時間を引いた値を、実際にパケットを送信した日時とする。
【００９１】
この動作例を、図６（ｂ）に一例を示すトラフィック発生元機器テーブル１３４ｂにおいて、Ｓ９０４の処理で「Ｘｃ」を選択した場合を例として説明する。トラフィック発生元機器テーブル１３４ｂにおいて、日時６０１は「２００５年１月１日  ０１：０２：００」であるから、日時と一致する日時４０１を含む転送時間情報テーブル１３２は、図４に一例を示す転送時間情報テーブル１３２である。トラフィック発生元機器取得部１１３は、図４に一例を示す転送時間情報テーブル１３２から、日時４０１「２００５年１月１日  ０１：０２：００」、発生元アドレス６０５「Ｘｃ」と一致する発生元アドレス４０４と対応付けられた経過時間４０６「１５０」、経過時間最大値４０７「２５０」等読み出す。次に、トラフィック発生元機器取得部１１３は、読み出した経過時間最大値４０７「２５０」の値と、経過時間４０６「１５０」の値との差分「１００」を算出する。トラフィック発生元機器取得部１１３は、日時４０１「２００５年１月１日  ０１：０２：００から、該算出した差分「１００」の時間を引いた値「２００５年１月１日  ００：５８：２０」を、実際にパケットを送信した日時とする。
【００９２】
トラフィック発生元機器取得部１１３は、上述の動作により取得した日時を、トラフィック発生元機器テーブル１３４のトラフィック発生日時６０６として、メモリ１２の所定の領域に格納する。
【００９３】
なお上述したように、本実施形態では、転送時間情報テーブル１３２の経過時間４０６は、経過時間最大値４０７に示す値を最大値とし、パケットを送信してからの経過時間に応じて減少する。従って、パケットを送信した日時が、経過時間最大値４０７に示す値より以前である場合、経過時間４０６は「−」で示される。このような場合、トラフィック発生元機器取得部１１３は、パケットを実際に送信した日時を取得することができない。そこで、本実施形態では、パケットを実際に送信した日時を取得できない場合、図６の（ａ）に一例を示すように、トラフィック発生日時６０６に「−」を格納する。
【００９４】
上述したように、図８に一例を示す処理は、例えば６０秒毎等、所定の時間間隔で起動され実行される。トラフィック発生元機器取得部１１３は、Ｓ９０４で選択したネットワーク機器の発生させたトラフィックが、今回の処理と前回の処理との間か否か判定する（Ｓ９０６）。具体的には、例えば、トラフィック発生元機器取得部１１３は、作成したトラフィック発生元機器テーブル１３４の日時６０１と、図８に一例を示す動作を行なう時間間隔とから、前回の処理を行なった日時を取得し、トラフィック発生日時６０６に示される日時が、今回の処理と前回の処理との間であるか否かにより判定する。
【００９５】
この動作例を、図６（ｂ）に一例を示すトラフィック発生元機器テーブル１３４ｂにおいて、Ｓ９０４の処理で「Ｘｃ」を選択した場合を例として説明する。トラフィック発生元機器取得部１１３は、日時６０１「２００５年１月１日  ０１：０２：００」を読み出す。また、トラフィック発生元機器取得部１１３は、メモリ１２の所定の領域から、発生元アドレス「Ｘｃ」に対応するトラフィック発生日時６０６「２００５年１月１日  ００：５８：２０」を読み出す。例えば、図８に示す処理を６０秒毎に起動する場合、前回の処理を行なった日時は、読み出した日時６０１「２００５年１月１日  ０１：０２：００」から「６０秒」を減算した日時「２００５年１月１日  ０１：００：００」である。発生元アドレス「Ｘｃ」に対応するトラフィック発生日時６０６は「２００５年１月１日  ００：５８：２０」であるので、トラフィック発生元機器取得部１１３は、該日時は、前回の処理以前の日時であると判定する。
【００９６】
また、例えば、この動作例を、図６（ｂ）に一例を示すトラフィック発生元機器テーブル１３４ｂにおいて、Ｓ９０４の処理で「Ｘｅ」を選択した場合を例として説明する。トラフィック発生元機器取得部１１３は、日時６０１「２００５年１月１日  ０１：０２：００」を読み出す。また、トラフィック発生元機器取得部１１３は、メモリ１２の所定の領域から、発生元アドレス「Ｘｅ」に対応するトラフィック発生日時６０６「２００５年１月１日  ０１：０１：１０」を読み出す。例えば、図８に示す処理を６０秒毎に起動する場合、前回の処理を行なった日時は、読み出した日時６０１「２００５年１月１日  ０１：０２：００」から「６０秒」を減算した日時「２００５年１月１日  ０１：０１：００」である。発生元アドレス「Ｘｅ」に対応するトラフィック発生日時６０６は「２００５年１月１日  ０１：０１：１０」であるので、トラフィック発生元機器取得部１１３は、該日時は、前回の処理と今回の処理との間の日時であると判定する。
【００９７】
次に、トラフィック発生元機器取得部１１３は、Ｓ９０６の判定結果をトラフィック発生元機器テーブル１３４に格納する（Ｓ９０７）。具体的には、例えば、トラフィック発生元機器取得部１１３は、Ｓ９０６で取得した判定結果を、トラフィック発生元機器テーブル１３４のトラフィック発生６０７として、メモリ１２の所定の領域に格納する。ここでは、トラフィック発生元機器取得部１１３は、Ｓ９０６の判定の結果、Ｓ９０４で選択したネットワーク機器が、今回の処理と前回の処理との間にトラフィックを発生させた場合「Ｔ」を格納し、前回の処理以前にトラフィックを発生させた場合「Ｆ」を格納する。
【００９８】
トラフィック発生元機器取得部１１３は、作成したトラフィック発生元機器テーブル１３４内の各発生元アドレス６０５の全てを選択したか否か判定する（Ｓ９０８）。
【００９９】
Ｓ９０８の判定の結果、全ての各発生元アドレス６０５を選択していない場合、トラフィック発生元機器取得部１１３は、再度Ｓ９０４の処理を実行し、作成したトラフィック発生元機器テーブル１３４内の各発生元アドレス６０５のうち、未選択のものに対し、上述した処理を実行する。
【０１００】
作成したトラフィック発生元機器テーブル１３４内の各発生元アドレス６０５の全てに対し上述の処理を行なった後、トラフィック発生元機器取得部１１３は、作成したトラフィック発生元機器テーブル１３４を記憶装置１３に格納する。
【０１０１】
図８において、上述のように、トラフィック発生元のネットワーク機器を取得した後、増大トラフィック発生特定部１１４は、変化量が所定の閾値以上となるトラフィックを発生させたネットワーク機器を特定する（Ｓ８０７）。
【０１０２】
Ｓ８０７の処理を、図１０を参照して詳細に説明する。なお、図１０で説明する動作例は、トラフィックが、所定時間の間に閾値以上増大し、該トラフィックが、所定時間の間に閾値以上減少したときに、該トラフィックの発生元を特定する動作例である。ここでは、６０秒の間に、１つの受信インタフェースで発生するトラフィック量が１０００以上増加し、同トラフィックが、６０秒の間に１０００以上減少する場合に、該トラフィックの発生元を特定する動作例を説明する。
【０１０３】
増大トラフィック発生特定部１１４は、Ｓ８０５で選択したトラフィック量情報テーブル１３３から、閾値５０３、最新の日時５０５、該最新の日時５０５と対応付けられたトラフィック量５０７及び変化５０８を読み出す（Ｓ１００１）。次に、増大トラフィック発生特定部１１４は、読み出したトラフィック量５０７が閾値５０３未満であり、且つ、読み出した変化５０８が「Ｔ」であるか否か判定する（Ｓ１００２）。
【０１０４】
Ｓ１００２の判定の結果、読み出したトラフィック量５０７が閾値５０３未満であり、且つ、読み出した変化５０８が「Ｔ」である場合、増大トラフィック発生特定部１１４は、Ｓ８０５で選択したトラフィック量情報テーブル１３３から読み出した最新の日時５０５に示される日時を、トラフィック終了日時とする（Ｓ１００３）。
【０１０５】
この動作例を、Ｓ８０５で選択されたトラフィック量情報テーブル１３３の受信インタフェース５０２が「ａｃ」である場合を例として説明する。図５に一例を示すトラフィック量情報テーブル１３３において、閾値５０３は「１０００」である。最新の日時５０５は「２００５年１月１日  ０１：０３：００」である。該日時５０５と対応付けられたトラフィック量５０７及び変化５０８は、「１００」、「Ｔ」である。トラフィック量５０７「１００」は、閾値５０３「１０００」の値未満であるので、増大トラフィック発生特定部１１４は、該日時５０５「２００５年１月１日  ０１：０３：００」を、トラフィック終了日時とする。
【０１０６】
増大トラフィック発生特定部１１４は、取得したトラフィック終了日時をメモリ１２の所定の領域に格納する。
【０１０７】
次に、増大トラフィック発生特定部１１４は、Ｓ８０５で選択したトラフィック量情報テーブル１３３から、最新の日時５０５より１つ前の日時５０５と対応付けられたトラフィック量５０７及び変化５０８を読み出す（Ｓ１００４）。増大トラフィック発生特定部１１４は、読み出したトラフィック量５０７が閾値５０３以上であり、且つ、読み出した変化５０８が「Ｔ」であるか否か判定する（Ｓ１００５）。
【０１０８】
Ｓ１００５の判定の結果、読み出したトラフィック量５０７が閾値５０３以上であり、且つ、読み出した変化５０８が「Ｔ」である場合、増大トラフィック発生特定部１１４は、Ｓ１００４で読み出した日時５０５に示される日時を、トラフィック発生開始の日時とする（Ｓ１００６）。
【０１０９】
Ｓ１００５の判定の結果、読み出したトラフィック量５０７が閾値５０３以上であり、且つ、読み出した変化５０８が「Ｔ」でない場合、増大トラフィック発生特定部１１４は、Ｓ１００４の処理を再度行ない、前回、Ｓ１００４で読み出した日時５０５より１つ前の日時５０５を読み出し、該日時５０５と対応付けられたトラフィック量５０７及び変化５０８に対し、上述と同じ処理を行なう。
【０１１０】
この動作例を、Ｓ８０５で選択されたトラフィック量情報テーブル１３３の受信インタフェース５０２が「ａｃ」である場合を例として説明する。図５に一例を示すトラフィック量情報テーブル１３３において、閾値５０３は「１０００」である。最新の日時５０５より１つ前の日時５０５は「２００５年１月１日  ０１：０２：００」である。該日時５０５と対応付けられたトラフィック量５０７及び変化５０８は、「１５００」、「Ｆ」である。該トラフィック量５０７「１５００」は、閾値５０３「１０００」の値以上であるので、増大トラフィック発生特定部１１４は、読み出した日時５０５「２００５年１月１日  ０１：０２：００」は、トラフィック発生日時でないと判定し、該日時５０５より１つ前の日時、即ち、日時５０５「２００５年１月１日  ０１：０１：００」と、該日時５０５と対応付けられたトラフィック量５０７「１２００」及び変化５０８「Ｔ」を読み出し、上述と同様の処理を行なう。この判定を繰り返すと、図５に一例を示すトラフィック量情報テーブル１３３の場合、トラフィック発生日時は「２００５年１月１日  ０１：０１：００」となる。
【０１１１】
増大トラフィック発生特定部１１４は、取得したトラフィック発生日時をメモリ１２の所定の領域に格納する。
【０１１２】
次に、増大トラフィック発生特定部１１４は、Ｓ１００６で取得したトラフィック発生日時と、Ｓ１００３で取得したトラフィック終了日時とから、トラフィック発生中の日時を取得する（Ｓ１００７）。具体的には、例えば、メモリ１２の所定の領域から、トラフィック発生日時「２００５年１月１日  ０１：０１：００」と、トラフィック終了日時「２００５年１月１日  ０１：０３：００」とを読み出し、該読み出したトラフィック発生日時「２００５年１月１日  ０１：０１：００」に、図８に一例を示す動作を起動する時間間隔「６０秒」を加算した日時「２００５年１月１日  ０１：０２：００」を、トラフィック発生中の日時とする。増大トラフィック発生特定部１１４は、この加算を、該加算により取得したに日時が読み出したトラフィック終了日時と一致するまで行う。
【０１１３】
増大トラフィック発生特定部１１４は、上述した処理で取得した日時から、トラフィック発生前、発生開始、発生中、発生終了、発生後に該当する日時を設定し、設定した各日時を、発生前７１０、発生７１１、発生中７１２、発生終了７１３、終了後７１４各日時として増大トラフィック発生特定テーブル１３５に格納する（Ｓ１００８）。具体的には、例えば、増大トラフィック発生特定部１１４は、まず、増大トラフィック発生特定テーブル１３５内の情報を格納する領域をメモリ１２等に確保する。増大トラフィック発生特定部１１４は、Ｓ８０５で選択したトラフィック量情報テーブル１３３から、ネットワーク機器５０１を読み出し、該読み出した情報を増大トラフィック発生特定テーブル１３５のネットワーク機器７０１として、メモリ１２の所定の領域に格納する。増大トラフィック発生特定部１１４は、Ｓ８０５で選択したトラフィック量情報テーブル１３３から、受信インタフェース５０２を読み出し、該読み出した情報を増大トラフィック発生特定テーブル１３５の受信インタフェース７０２として、メモリ１２の所定の領域に格納する。増大トラフィック発生特定部１１４は、Ｓ８０５で選択したトラフィック量情報テーブル１３３から、閾値５０３を読み出し、該読み出した情報を増大トラフィック発生特定テーブル１３５の閾値７０３として、メモリ１２の所定の領域に格納する。増大トラフィック発生特定部１１４は、メモリ１２内の所定の領域からトラフィック発生日時を読み出し、該読み出した情報を増大トラフィック発生特定テーブル１３５のトラフィック発生日時７０４として、メモリ１２の所定の領域に格納する。増大トラフィック発生特定部１１４は、メモリ１２内の所定の領域からトラフィック終了日時を読み出し、該読み出した情報を増大トラフィック発生特定テーブル１３５のトラフィック終了日時７０５として、メモリ１２の所定の領域に格納する。増大トラフィック発生特定部１１４は、トラフィック発生日時７０４と一致する日時６０１を含むトラフィック発生元機器テーブル１３４から、トラフィック発生６０７が「Ｔ」であるトラフィック発生日時６０６を読み出す。増大トラフィック発生特定部１１４は、この読み出したトラフィック発生日時６０６を、トラフィック発生実日時７０６として、メモリ１２の所定の領域に格納する。ここで、増大トラフィック発生特定部１１４は、該当するトラフィック発生日時６０６が複数ある場合、例えば、最も日時の速いトラフィック発生日時６０６を選択してもよい。増大トラフィック発生特定部１１４は、トラフィック終了日時７０５と一致する日時６０１を含むトラフィック発生元機器テーブル１３４から、トラフィック発生６０７が「Ｔ」であるトラフィック発生日時６０６を読み出す。増大トラフィック発生特定部１１４は、この読み出したトラフィック発生日時６０６を、トラフィック終了実日時７０７として、メモリ１２の所定の領域に格納する。ここで、増大トラフィック発生特定部１１４は、該当するトラフィック発生日時６０６が複数ある場合、例えば、最も日時の遅いトラフィック発生日時６０６を選択してもよい。
【０１１４】
次に、増大トラフィック発生特定部１１４は、増大トラフィック発生特定テーブル１３５に格納する発生前７１０、発生７１１、発生中７１２、発生終了７１３、終了後７１４に該当する各日時を格納する。本実施形態では、発生前７１０、発生７１１、発生中７１２、発生終了７１３、終了後７１４に設定する日時は、図８に一例を示す処理を起動する日時のいずれかであるものとする。従って、発生７１１は、上述のＳ１００６で取得したトラフィック発生日時とする。発生中７１２は、上述のＳ１００７で取得したトラフィック発生中の日時とする。発生終了７１３は、上述のＳ１００３で取得したトラフィック終了日時とする。発生前７１０は、上述のＳ１００６で取得したトラフィック発生日時より１つ前の処理を実行した日時とする。終了後７１４は、上述のＳ１００３で取得したトラフィック終了日時の１つ後の処理を実行した日時とする。
【０１１５】
増大トラフィック発生特定部１１４は、上述のＳ１００６で取得したトラフィック発生日時より１つ前の処理を実行した日時を発生前７１０の日時として、メモリ１２の所定の領域に格納する。増大トラフィック発生特定部１１４は、上述のＳ１００６で取得したトラフィック発生日時を、発生７１１の日時として、メモリ１２の所定の領域に格納する。増大トラフィック発生特定部１１４は、上述のＳ１００７で取得したトラフィック発生中の各日時を、発生中７１２の日時として、メモリ１２の所定の領域に格納する。増大トラフィック発生特定部１１４は、上述のＳ１００３で取得したトラフィック終了日時を、発生終了７１３の日時として、メモリ１２の所定の領域に格納する。増大トラフィック発生特定部１１４は、上述のＳ１００３で取得したトラフィック終了日時の１つ後の処理を実行した日時を、終了後７１４の日時として、メモリ１２の所定の領域に格納する。
【０１１６】
図５に一例を示すトラフィック量情報テーブル１３３の場合を例にして説明すると、トラフィック発生日時が「２００５年１月１日  ０１：０１：００」、トラフィック終了日時が「２００５年１月１日  ０１：０３：００」、トラフィック発生中の日時が「２００５年１月１日  ０１：０２：００」である。従って、増大トラフィック発生特定部１１４は、発生７１１「２００５年１月１日  ０１：０１：００」、発生中７１２「２００５年１月１日  ０１：０２：００」、発生終了７１３「２００５年１月１日  ０１：０３：００」を設定する。さらに、増大トラフィック発生特定部１１４は、図８に一例を示す処理を起動する時間間隔が６０秒であることから、発生７１１「２００５年１月１日  ０１：０１：００」より１つ前の処理を実行した日時「２００５年１月１日  ０１：００：００」を発生前７１０の日時として設定する。同様に、増大トラフィック発生特定部１１４は、発生終了７０８「２００５年１月１日  ０１：０３：００」より１つ後の処理を実行する日時「２００５年１月１日  ０１：０４：００」を、終了後７１４の日時として設定する。
【０１１７】
次に、増大トラフィック発生特定部１１４は、上述のように設定した発生前７１０から発生終了７１３までの各日時で、トラフィックを発生させているネットワーク機器を取得し（Ｓ１００９）、該日時間でトラフィックを発生させている全てのネットワーク機器の発生元アドレスを、増大トラフィック発生特定テーブル１３５の発生元アドレス７０９に格納し、そのネットワーク機器の各々が、該日時の各々でトラフィックを発生させているか否かを示す情報を、増大トラフィック発生特定テーブル１３５の、発生前７１０から発生終了７１３の各々に格納する（Ｓ１０１０）。
【０１１８】
そのために、例えば、増大トラフィック発生特定部１１４は、まず、増大トラフィック発生特定テーブル１３５から、発生前７１０から発生終了７１３までの何れかの日時を１つ選択する。次に、増大トラフィック発生特定部１１４は、記憶装置１３から、Ｓ８０５で選択したトラフィック量情報テーブル１３３の受信インタフェース５０２と受信インタフェース６０３とが一致し、且つ、選択した日時（発生前７１０から発生終了７１３までの何れか）と日時６０１とが一致するトラフィック発生元機器テーブル１３４を読み出す。増大トラフィック発生特定部１１４は、読み出したトラフィック発生元機器テーブル１３４から、トラフィック発生６０７が「Ｔ」である発生元アドレス６０５に示されるネットワーク機器を全て取得し、該ネットワーク機器のアドレスを、増大トラフィック発生特定テーブル１３５の発生元アドレス７０９として、メモリ１２の所定の領域に格納する。このとき、増大トラフィック発生特定部１１４は、取得したネットワーク機器が既に発生元アドレス７０９に格納されている場合は、該ネットワーク機器を発生元アドレス７０９に格納しない。次に、増大トラフィック発生特定部１１４は、発生元アドレス７０９に格納されているネットワーク機器の各々が、選択した日時に、実際にトラフィックを発生させているか否か判定し、該判定結果に応じて、選択した日時（発生前７１０、発生７１１、発生中７１２、発生終了７１３等）の該当する領域に「Ｔ」又は「Ｆ」を格納する。
【０１１９】
この動作を、Ｓ８０５で選択されたトラフィック量情報テーブル１３３の受信インタフェース５０２が「ａｃ」であり、図７に一例を示す増大トラフィック発生特定テーブル１３５の発生前７１０「２００５年１月１日  ０１：００：００」の場合を例にして説明する。この場合、日時６０１が「２００５年１月１日  ０１：００：００」であり、且つ、受信インタフェース６０３が「ａｃ」であるトラフィック発生元機器テーブル１３４は、図６（ａ）に一例を示すトラフィック発生元機器テーブル１３４ａとなる。増大トラフィック発生特定部１１４は、トラフィック発生元機器テーブル１３４ａから、対応するトラフィック発生６０７が「Ｔ」である発生元アドレス６０５「Ｘｅ」を取得する。増大トラフィック発生特定部１１４は、取得した「Ｘｅ」を、増大トラフィック発生特定テーブル１３５の発生元アドレス７０９として、メモリ１２の所定の領域に格納する。また、トラフィックを発生させていることを示す「Ｔ」を、格納した発生元アドレス７０９「Ｘｅ」に対応する発生前７１０として、メモリ１２の所定の領域に格納する。
【０１２０】
上述のように発生前７１０「２００５年１月１日  ０１：００：００」の日時に対し処理を行なった後に、発生中７１２「２００５年１月１日  ０１：０２：００」の日時に対し処理を行う場合を説明する。この場合、日時６０１が「２００５年１月１日  ０１：０２：００」であり、且つ、受信インタフェース６０３が「ａｃ」であるトラフィック発生元機器テーブル１３４は、図６（ｂ）に一例を示すトラフィック発生元機器テーブル１３４ｂとなる。増大トラフィック発生特定部１１４は、トラフィック発生元機器テーブル１３４ｂから、対応するトラフィック発生６０７が「Ｔ」である発生元アドレス６０５「Ｘｄ」、「Ｘｅ」を取得する。ここでは、「Ｘｅ」は既に発生元アドレス７０９として設定されているので、増大トラフィック発生特定部１１４は、取得した「Ｘｄ」のみを、増大トラフィック発生特定テーブル１３５の発生元アドレス７０９として、メモリ１２の所定の領域に追加格納する。次に、増大トラフィック発生特定部１１４は、発生元アドレス７０９の各ネットワーク機器に、これまでに選択された日時（発生前７１０、発生中７１２）の各々で、トラフィックを発生させているか否かを「Ｔ」又は「Ｆ」として増大トラフィック発生特定テーブル１３５に格納する。具体的には、増大トラフィック発生特定部１１４は、今回取得した発生元アドレス６０５「Ｘｄ」、「Ｘｅ」の各々は、対応付けられている発生中７１２の日時にトラフィックを発生させているので、トラフィックを発生させていることを示す「Ｔ」を、メモリ１２の所定の領域に追加格納する。また、増大トラフィック発生特定部１１４は、今回新たに発生元アドレス７０９に追加した「Ｘｄ」は、発生前７１０にトラフィックを発生させていないので、トラフィックを発生させていないことを示す「Ｆ」を、発生元アドレス７０９「Ｘｄ」に対応する発生前７１０として、メモリ１２の所定の領域に追加格納する。
【０１２１】
増大トラフィック発生特定部１１４は、上述の動作により作成した増大トラフィック発生特定テーブル１３５を、記憶装置１３に格納する。
【０１２２】
図８において、Ｓ８０７の処理の後、増大トラフィック発生特定部１１４は、記憶装置１３内の各トラフィック量情報テーブル１３３の全てに対し、上述の処理を行なったか否か判定する（Ｓ８０８）。
【０１２３】
Ｓ８０８の判定の結果、記憶装置１３内の各トラフィック量情報テーブル１３３の全てに対し、上述の処理を行なっていない場合、増大トラフィック発生特定部１１４は、トラフィック発生元機器取得部１１３に処理を指示する。トラフィック発生元機器取得部１１３は、上述の処理を実行していない他のトラフィック量情報テーブル１３３を選択し、該テーブルに対し、上述の処理を行なう。これにより、全ての受信インタフェースに対し、上述の処理を行うことができる。
【０１２４】
Ｓ８０８の判定の結果、記憶装置１３内の各トラフィック量情報テーブル１３３の全てに対し、上述の処理を行なった場合、増大トラフィック発生特定部１１４は、記憶装置１３内の各増大トラフィック発生特定テーブル１３５を参照し、終了後７１４で設定された日時が経過しており、且つ、終了後７１４に「Ｔ」又は「Ｆ」が格納されていない増大トラフィック発生特定テーブル１３５があるか否か判定する（Ｓ８０９）。これは、各増大トラフィック発生特定テーブル１３５の発生終了７１３までは、上述した図１０に一例を示す動作により格納されるが、終了後７１４にトラフィックを発生させたネットワーク機器の情報は、発生終了７１３から所定時間経過後の処理でないと取得されないためである。
【０１２５】
Ｓ８０９の判定の結果、該当する増大トラフィック発生特定テーブル１３５がある場合、増大トラフィック発生特定部１１４は、終了後７１４に示される日時に、発生元アドレス７０９に示されるネットワーク機器の各々が、トラフィックを発生させているか否かを判定し、該情報を、終了後７１４に格納する（Ｓ８１０）。この動作例は、上述と同様であるので省略する。
【０１２６】
Ｓ８１０の処理の後、表示処理部１１５は、トラフィック量と、該トラフィックを発生させたネットワーク機器とを示す情報等を、所定のフォーマットに従う等してディスプレイ等の出力装置１５に出力する（Ｓ８１１）。ディスプレイに表示する画面例を図１１に示す。図１１において、画面１１０１は、ディスプレイに表示する画面例である。画面１１０１には、ネットワーク機器１１０２、受信インタフェース１１０３、閾値１１０４、トラフィック発生日時１１０５、トラフィック終了日時１１０６等が表示される。これらの情報は、表示処理部１１５が、Ｓ８１１の処理で情報を追記した増大トラフィック発生特定テーブル１３５から読み出したネットワーク機器７０１、受信インタフェース７０２、閾値７０３、トラフィック発生実日時７０６、トラフィック終了実日時７０７等から読み出し、表示する情報である。さらに、画面１１０１には、ネットワーク機器１１０７、アドレス１１０８、トラフィック発生日時１１０９等が対応付けられて表示される。ネットワーク機器１１０７は、画面１１０１に表示したトラフィック発生日時１１０５とトラフィック終了日時１１０６とを含む日時の間に、受信インタフェース１１０３にトラフィックを発生させたネットワーク機器の名称である。アドレス１１０８は、対応するネットワーク機器１１０７のアドレスを示す。トラフィック発生日時１１０９は、対応するネットワーク機器１１０７がトラフィックを実際に発生させた日時を示す。
【０１２７】
表示処理部１１５は、増大トラフィック発生特定テーブル１３５の発生元アドレス７０９から読み出した情報を、アドレス１１０８として表示する。
【０１２８】
表示処理部１１５は、記憶装置１３内のネットワーク情報テーブル１３１から、発生元アドレス７０９と一致するアドレス３０１と対応付けられたネットワーク機器３０２を読み出し、この情報をネットワーク機器１１０７として表示する。
【０１２９】
表示処理部１１５は、増大トラフィック発生特定テーブル１３５から、各ネットワーク機器がトラフィックを発生させた日時（発生前７１０、発生７１１、発生中７１２、発生終了７１３、終了後７１４）を取得し、該取得した日時の各々と対応付けられたトラフィック発生元機器テーブル１３４の各々から、発生元アドレス７０９と一致する発生元アドレス６０５の各々と対応付けられたトラフィック発生日時６０６を読み出し、この情報をトラフィック発生日時１１０９として表示する。
【０１３０】
表示処理部１１５は、画面例１１０１に表示したネットワーク機器１１０７のうち、トラフィック発生日時１１０５からトラフィック終了日時１１０６の間にトラフィックを発生させた回数の最も多いものに対し、枠１１１０に一例を示すように、表示形態を変更して表示する。表示形態は、図１１に示すように枠で囲むことに限るわけではなく、例えば、色を変更する、点滅させる等でもよい。そのために、例えば、表示処理部１１５は、増大トラフィック発生特定テーブル１３５から、トラフィック発生日時からトラフィック終了日時までの間の各日時（発生７１１、発生中７１２、発生終了７１３）に、対応付けられた発生元アドレス７０９に示される各ネットワーク機器が、実際にトラフィックを発生させているか否かにより、実際にトラフィックを発生させている回数の最も多いネットワーク機器を取得する。図７の例で説明すると、発生元アドレス７０９「Ｘｄ」に対応付けられた各日時（発生７１１、発生中７１２、発生終了７１３）に、トラフィックが発生していることを示す情報「Ｔ」の数は「３」である。また、発生元アドレス７０９「Ｘｅ」に対応付けられた各日時（発生７１１、発生中７１２、発生終了７１３）に、トラフィックが発生していることを示す情報「Ｔ」の数は「１」である。従って、表示処理部１１５は、発生元アドレス７０９「Ｘｄ」に対し、図１１の枠１１１０に一例を示すように、表示形態を変更する。
【０１３１】
上述の処理が終了した後、トラフィック発生機器特定装置１は、所定の時間後に、再度、図８に一例を示す処理を起動する。
＜第２の実施形態＞
次に、第２の実施形態を説明する。
【０１３２】
上述した第１の実施形態では、トラフィックが、所定時間の間に閾値以上増大し、該トラフィックが、所定時間の間に閾値以上減少したときに、該トラフィックの発生元を特定するものであった。第２の実施形態は、受信インタフェースと、該受信インタフェースにパケットを送信するネットワーク機器との間でトラフィックが発生しない時間（以下、無通信時間という）とを取得する動作例を説明する。無通信時間の短いネットワーク機器は、受信インタフェースに頻繁にパケットを送信していると判定することができる。
【０１３３】
なお、第２の実施形態では、上述した第１の実施形態と説明が重複する場合、簡単に説明する。
【０１３４】
図１５に、第２の実施形態のトラフィック発生機器特定装置１の構成例を示す。図１５において、上述した第１のトラフィック発生機器特定装置１と同じ構成に対しては、同じ符号を付与し、説明を省略する。
【０１３５】
第２の実施形態のトラフィック発生機器特定装置１は、後述する動作を行う無通信時間取得部１１６を有する点と、無通信時間情報テーブル１７０１を有する点とで異なる。無通信時間取得部１１６は、ＣＰＵ１１がメモリ１２にロードしたプログラムを実行することにより実現する。
【０１３６】
無通信時間取得部１１６は、受信インタフェースと、該受信インタフェースにトラフィックを発生させることの可能なネットワーク機器毎に、無通信時間を取得する。
【０１３７】
無通信時間情報テーブル１７０１は、受信インタフェースと、該受信インタフェースにトラフィックを発生させることの可能なネットワーク機器と、該ネットワーク機器毎の無通信時間とを格納する。無通信時間情報テーブル１７０１についての詳細は後述する。
【０１３８】
第２の実施形態の動作例を図１６に示す。図１６に一例を示す処理は、任意の時間間隔で起動される。
【０１３９】
ネットワーク機器によっては、毎回同じ時間間隔でトラフィックを発生させるものもある。このようなネットワーク機器のトラフィック発生間隔と、図１６に一例を示す動作例の起動間隔とが同じとなる場合、実際には無通信時間があるにも関わらず、無通信時間がないと判定する可能性がある。そこで、トラフィック発生機器特定装置１は、例えば、基本間隔６０秒に対し、０秒から１０秒の間のランダムな秒数を加算又は減算する等して、図１６に一例を示す処理を起動する時間間隔をランダムに変えると良い。このように、図１６に一例を示す処理を起動する時間間隔を毎回変更することで、上述のような、実際とは異なる判定をすることが無く、実際の動作に即した無通信時間を取得することができる。
【０１４０】
転送時間情報取得部１１１は、ＳＷａ１４０１から、転送情報を取得する（Ｓ１６０１）。この動作は、上述のＳ８０１と同じである。
【０１４１】
トラフィック量情報取得部１１２は、ＳＷａ１４０１から、トラフィック量情報を取得する（Ｓ１６０２）。この動作は、上述のＳ８０２と同じである。
【０１４２】
次に、転送時間情報取得部１１１は、取得した転送情報から、転送時間情報テーブル１３２を作成する（Ｓ１６０３）。トラフィック量情報取得部１１２は、取得したトラフィック量情報から、トラフィック量情報テーブル１３３を作成する（Ｓ１６０４）。この動作は、上述のＳ８０３、Ｓ８０４と同じである。
【０１４３】
無通信時間取得部１１６は、記憶装置１３内の各トラフィック量情報テーブル１３３のうち、昇順等により１つを選択する（Ｓ１６０５）。この動作は、上述のＳ８０５と同じである。
【０１４４】
次に、無通信時間取得部１１６は、Ｓ１６０５で選択したトラフィック量情報テーブル１３３の受信インタフェース５０２で示される受信インタフェースにパケットを送信するネットワーク機器の各々が、トラフィックを発生させたか否か判定し、該判定結果から、各ネットワーク機器の無通信時間を取得する（Ｓ１６０６）。この動作例は、上述の第１の実施形態で、図９を参照して説明した動作例と一部同じであるので、異なる動作のみ詳細に説明する。
【０１４５】
無通信時間取得部１１６は、記憶装置１３から、日時４０１が最新の転送時間情報テーブル１３２を読み出す。次に、無通信時間取得部１１６は、読み出した転送時間情報テーブル１３２から、上述のＳ１６０５で選択されたトラフィック量情報テーブル１３３の受信インタフェース５０２に、パケットを送信することのできる全てのネットワーク機器を取得する。この動作例は上述のＳ９０１、Ｓ９０２と同じである。
【０１４６】
無通信時間取得部１１６は、無通信時間情報テーブル１７０１内の情報を新たに格納する領域をメモリ１２等に確保し、該領域に、上述の処理で取得したネットワーク機器を示す情報を格納する。
【０１４７】
ここで、無通信時間情報テーブル１７０１の一例を説明する。
【０１４８】
図１７において、無通信時間情報テーブル１７０１は、日時１７０２、ネットワーク機器１７０３、受信インタフェース１７０４、トラフィック発生元機器リスト１７０５等を含む。日時１７０２、ネットワーク機器１７０３、受信インタフェース１７０４、トラフィック発生元機器リスト１７０５等は、互いに対応付けられている。トラフィック発生元機器リスト１７０５は、発生元アドレス１７０６、トラフィック発生日時１７０７、無通信時間１７０８等を含む。発生元アドレス１７０６、トラフィック発生日時１７０７、無通信時間１７０８等は互いに対応付けられている。
【０１４９】
日時１７０２は、トラフィック発生元機器テーブル１３４の日時６０１に該当する。ネットワーク機器１７０３は、トラフィック発生元機器テーブル１３４のネットワーク機器６０２に該当する。受信インタフェース１７０４は、トラフィック発生元機器テーブル１３４の受信インタフェース６０３に該当する。発生元アドレス１７０６は、トラフィック発生元機器テーブル１３４の発生元アドレス６０５に該当する。トラフィック発生日時１７０７は、トラフィック発生元機器テーブル１３４のトラフィック発生日時６０６に該当する。無通信時間１７０８は、対応する発生元アドレス１７０６のネットワーク機器が、対応する受信インタフェース１７０４にトラフィックを発生させていない時間、即ち、無通信時間を示す。
【０１５０】
無通信時間取得部１１６は、Ｓ１６０５により選択したトラフィック量情報テーブル１３３の受信インタフェース５０２及び最新の日時５０４と一致する受信インタフェース６０３及び日時６０１を含むトラフィック発生元機器テーブル１３４を取得し、取得したトラフィック発生元機器テーブル１３４から、日時１７０２、ネットワーク機器１７０３、受信インタフェース１７０４、発生元アドレス１７０６、トラフィック発生日時１７０７等の情報を取得し、メモリ１２の所定の領域に格納する。次に、無通信時間取得部１１６は、無通信時間情報テーブル１７０１に含まれる発生元アドレス１７０６の各々の無通信時間を取得する。そのために、例えば、無通信時間取得部１１６は、無通信時間情報テーブル１７０１から、日時１７０２と、各トラフィック発生日時１７０７とを読み出し、該読み出した日時１７０２と、各トラフィック発生日時１７０７との差分を無通信時間とする。無通信時間取得部１１６は、このように算出した無通信時間を、該当する無通信時間１７０８に格納する。
【０１５１】
なお、上述したように、本実施形態では、転送時間情報テーブル１３２の経過時間４０６は、経過時間最大値４０７に示す値を最大値とし、パケットを送信してからの経過時間に応じて減少する。従って、パケットを送信した日時が、経過時間最大値４０７に示す値より以前である場合、パケットを実際に送信した日時を取得することができない。そこで、本実施形態では、パケットを実際に送信した日時を取得できない場合、上述の第１の実施形態と同様に、無通信時間取得部１１６は、無通信時間情報テーブル１７０１のトラフィック発生日時１７０７に「−」を格納する。また、無通信時間取得部１１６は、無通信時間情報テーブル１７０１の無通信時間１７０８に、例えば「３００以上」等、経過時間最大値４０７に示す値以上であることを示す情報を格納する。
【０１５２】
無通信時間取得部１１６は、作成した無通信時間情報テーブル１７０１を、記憶装置１３に格納する。
【０１５３】
次に、無通信時間取得部１１６は、記憶装置１３内の各トラフィック量情報テーブル１３３の全てに対し、上述の処理を行なったか否か判定する（Ｓ１６０７）。
【０１５４】
Ｓ１６０７の判定の結果、全てのトラフィック量情報テーブル１３３に対し上述の処理を行っていない場合、無通信時間取得部１１６は、未選択のトラフィック量情報テーブル１３３を選択し、該トラフィック量情報テーブル１３３に対し、上述した処理を行う。
【０１５５】
Ｓ１６０７の判定の結果、全てのトラフィック量情報テーブル１３３に対し上述の処理を行った場合、表示処理部１１５は、記憶装置１３から無通信時間情報テーブル１７０１を読み出し、該読み出した無通信時間情報テーブル１７０１に基づき、ネットワーク機器と、該ネットワーク機器毎の無通信時間とを、所定のフォーマットに従う等してディスプレイ等の出力装置１５に出力する（Ｓ１６０８）。ディスプレイに表示する画面例を図１８に示す。図１８において、画面１８０１は、ディスプレイに表示する画面例である。画面１８０１には、ネットワーク機器１８０２、受信インタフェース１８０３、現在日時１８０４等が表示される。これらの情報は、表示処理部１１５が、無通信時間情報テーブル１７０１から読み出したネットワーク機器１７０３、受信インタフェース１７０４、日時１７０２等から読み出し、表示する情報である。さらに、画面１８０１には、ネットワーク機器１８０５、アドレス１８０６、トラフィック発生日時１８０７、無通信時間１８０８等が対応付けられて表示される。ネットワーク機器１８０５は、画面１８０１に表示した受信インタフェース１８０３にトラフィックを発生させることのできるネットワーク機器の名称である。アドレス１８０６は、対応するネットワーク機器１８０５のアドレスを示す。トラフィック発生日時１８０７は、対応するネットワーク機器１８０５の、受信インタフェース１８０３に対するトラフィック発生時間を示す。無通信時間１８０８は、対応するネットワーク機器１８０５の、受信インタフェース１８０３に対する無通信時間を示す。
【０１５６】
表示処理部１１５は、無通信時間情報テーブル１７０１の発生元アドレス１７０６から読み出した情報を、アドレス１８０６として表示する。
【０１５７】
表示処理部１１５は、記憶装置１３内のネットワーク情報テーブル１３１から、発生元アドレス１７０６と一致するアドレス３０１と対応付けられたネットワーク機器３０２を読み出し、この情報をネットワーク機器１８０５として表示する。
【０１５８】
表示処理部１１５は、無通信時間情報テーブル１７０１から、発生元アドレス１７０６の各々と対応付けられたトラフィック発生日時１７０７を読み出し、この情報を、トラフィック発生日時１８０７として表示する。
【０１５９】
表示処理部１１５は、無通信時間情報テーブル１７０１から、発生元アドレス１７０６の各々と対応付けられた無通信時間１７０８を読み出し、この情報を、無通信時間１８０８として表示する。
【０１６０】
表示処理部１１５は、画面１８０１に表示したネットワーク機器１８０５のうち、無通信時間１８０８が最も短いものに対し、枠１８０９に一例を示すように、表示形態を変更して表示する。表示形態は、図１８に示すように枠で囲むだけに限られるわけではなく、例えば、色を変更する、点滅させる等でもよい。そのために、例えば、表示処理部１１５は、無通信時間情報テーブル１７０１から、最も短い無通信時間１７０８と対応付けられた発生元アドレス１７０６を取得する。図１７の例で説明すると、最も短い無通信時間１７０８は「０」であり、この無通信時間１７０８「０」と対応付けられている発生元アドレス１７０６は「Ｘｄ」である。従って、表示処理部１１５は、発生元アドレス１７０６「Ｘｄ」に対し、図１８の枠１８０９に一例を示すように、表示形態を変更する。
【０１６１】
上述のように、第１の実施形態と、第２の実施形態とを説明したが、１つのトラフィック発生機器特定装置で、第１の実施形態の動作を実現する機能と、第２の実施形態を実現する機能との何れか一方のみを有してもよく、また、両方の機能を有してもよい。
【０１６２】
以上、この発明の実施形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【０１６３】
例えば、上述の第１の実施形態では、増大したトラフィック量が所定の割合以下で減少する場合のみ、トラフィック量と、該トラフィックの発生元とを出力するものとした。また第２の実施形態では、無通信時間を出力するものとした。しかし、これに限られるわけではなく、単に、受信インタフェース毎のトラフィック量（トラフィック量「０」を含む）と、該トラフィックの発生元とを出力しても良い。その場合、例えば、受信インタフェース毎に、トラフィック発生元機器テーブルの発生元アドレスと、該テーブルの日時と一致する日時を含む転送時間情報テーブルとから、トラフィックの発生元であるネットワーク機器と、該ネットワーク機器が発生させたトラフィック量とを取得するとよい。
【０１６４】
この動作を、ネットワーク機器「ＳＷａ」の受信インタフェース「ａｃ」で、日時「２００５年１月１日  ０１：０２：００」のトラフィック量を取得する場合を例にして具体的に説明する。トラフィック発生機器特定装置は、受信インタフェース５０２「ａｃ」を含むトラフィック量情報テーブル１３３から、日時「２００５年１月１日  ０１：０２：００」と対応付けられたトラフィック量５０７「１５００」を読み出す。さらに、トラフィック発生機器特定装置は、日時６０１「２００５年１月１日  ０１：０２：００」を含むトラフィック発生元機器テーブル１３４から、トラフィック発生６０７「Ｔ」と対応付けられた発生元アドレス６０５「Ｘｄ」、「Ｘｅ」を読み出す。トラフィック発生機器特定装置は、取得したトラフィック量「１５００」、及び、ネットワーク機器「Ｘｄ」、「Ｘｅ」等を表示する。ここで、トラフィック発生機器特定装置は、取得したネットワーク機器「Ｘｄ」、「Ｘｅ」各々の名称を表示等してもよい。各ネットワーク機器の名称を取得する動作例は、上述の実施形態と同じであるので省略する。
【０１６５】
また、上述の実施形態で説明したシステム構成は一例であり、これに限られるわけではない。例えば、トラフィック発生機器特定装置がトラフィック量とトラフィック発生元を取得するための情報を受信するネットワーク機器は、ＳＷだけではなく、ルータや、ＰＣ等の情報処理装置等でもよい。また、システムを構成するネットワーク機器の種類及び数は任意である。
【０１６６】
また、上述の実施形態では、図８に一例を示す処理は、所定時間毎に起動され、実行されるものとしたが、この時間は、毎回同じ時間間隔でなくても良い。
【０１６７】
また、上述の第１の実施形態では、トラフィックの増加率及び減少率の閾値は同じであるものとしたが、同じ値である必要はなく、異なっていても良い。
【図面の簡単な説明】
【０１６８】
【図１】本発明の第１の実施形態のシステム構成例を示す図である。
【図２】同実施形態において、トラフィック発生機器特定装置の構成例を示す図である。
【図３】同実施形態において、ネットワーク情報テーブルの一例を示す図である。
【図４】同実施形態において、転送時間情報テーブルの一例を示す図である。
【図５】同実施形態において、トラフィック量情報テーブルの一例を示す図である。
【図６】同実施形態において、トラフィック発生元機器テーブルの一例を示す図である。
【図７】同実施形態において、増大トラフィック発生特定テーブルの一例を示す図である。
【図８】同実施形態において、トラフィック発生機器特定装置の動作例を示すフロー図である。
【図９】同実施形態において、トラフィック発生機器特定装置がトラフィックを発生させた機器を特定する動作例を示すフロー図である。
【図１０】同実施形態において、トラフィック発生機器特定装置が増大したトラフィックを発生させた機器を特定する動作例を示すフロー図である。
【図１１】同実施形態において、トラフィック発生機器特定装置が表示する画面例である。
【図１２】従来の管理情報テーブルの一例である。
【図１３】従来の転送テーブルの一例である。
【図１４】従来技術を説明するためのシステム構成例である。
【図１５】第２の実施形態において、トラフィック発生機器特定装置の構成例を示す図である。
【図１６】第２の実施形態において、トラフィック発生機器特定装置の動作例を示すフロー図である。
【図１７】同実施形態において、無通信時間情報テーブルの一例である。
【図１８】同実施形態において、トラフィック発生機器特定装置が表示する画面例である。
【符号の説明】
【０１６９】
１：トラフィック発生機器特定装置、２：通信ネットワーク、１１：ＣＰＵ、１１１：転送時間情報取得部、１１２：トラフィック量情報取得部、１１３：トラフィック発生元機器取得部、１１４：増大トラフィック発生特定部、１１５：表示処理部、１２：メモリ、１３：記憶装置、１３１：ネットワーク情報転送時間情報テーブル１３２：転送時間情報トラフィック量情報テーブル１３３：トラフィック量情報トラフィック発生元機器テーブル１３４：トラフィック発生元機器増大トラフィック発生特定テーブル１３５：増大トラフィック発生特定テーブル、１４：入力装置、１５：出力装置、１６：通信インタフェース、１７：バス、１４０１：ＳＷａ、１４０２：ＳＷｂ、１４０３：端末ａ、１４０４：端末ｂ、１４０５：端末ｃ、１４０６：端末ｄ、１４０７：端末ｅ、１１６：無通信時間取得部、１７０１：無通信時間情報テーブル
【図１】
2006352273.tif 000003
【図２】
2006352273.tif 000004
【図３】
2006352273.tif 000005
【図４】
2006352273.tif 000006
【図５】
2006352273.tif 000007
【図６】
2006352273.tif 000008
【図７】
2006352273.tif 000009
【図８】
2006352273.tif 000010
【図９】
2006352273.tif 000011
【図１０】
2006352273.tif 000012
【図１１】
2006352273.tif 000013
【図１２】
2006352273.tif 000014
【図１３】
2006352273.tif 000015
【図１４】
2006352273.tif 000016
【図１５】
2006352273.tif 000017
【図１６】
2006352273.tif 000018
【図１７】
2006352273.tif 000019
【図１８】
2006352273.tif 000020